Un transfert, vers un pays tiers ou à une organisation internationale, de données à caractère personnel qui font ou sont destinées à faire l’objet d’un traitement après ce transfert ne peut avoir lieu que si, sous réserve des autres dispositions du présent règlement, les conditions définies dans le présent chapitre sont respectées par le responsable du traitement et le sous-traitant, y compris pour les transferts ultérieurs de données à caractère personnel au départ du pays tiers ou de l’organisation internationale vers un autre pays tiers ou à une autre organisation internationale. Toutes les dispositions du présent chapitre sont appliquées de manière à ce que le niveau de protection des personnes physiques garanti par le présent règlement ne soit pas compromis.
Article 44 RGPD - Principe général applicable aux transferts
Foire aux questions
Réponses brèves aux questions fréquentes sur cette disposition. Elles constituent une information générale et non un conseil juridique.
L’article 44 ne permet un transfert, vers un pays tiers ou à une organisation internationale, de données à caractère personnel qui font ou sont destinées à faire l’objet d’un traitement après ce transfert que si les conditions définies au chapitre V sont respectées par le responsable du traitement et le sous-traitant, sous réserve des autres dispositions du règlement. Sa dernière phrase exige que toutes les dispositions du chapitre soient appliquées de manière à ce que le niveau de protection garanti par le règlement ne soit pas compromis.
Oui. L’article 44 étend expressément les conditions du chapitre V aux transferts ultérieurs de données à caractère personnel au départ du pays tiers ou de l’organisation internationale vers un autre pays tiers ou à une autre organisation internationale. L’exportateur initial ne peut donc considérer la protection comme épuisée dès que les données quittent l’Union, car le niveau de protection doit suivre les données au fil des transferts successifs.
L’article s’adresse à la fois au responsable du traitement et au sous-traitant. Un sous-traitant qui transfère des données à caractère personnel vers un pays tiers doit lui-même satisfaire à un fondement du chapitre V, indépendamment des instructions du responsable du traitement au titre de l’article 28, paragraphe 3, et les deux acteurs restent liés par les autres dispositions du règlement lorsqu’ils transfèrent.
Non. Le transfert ne peut avoir lieu que «sous réserve des autres dispositions du présent règlement», de sorte qu’un mécanisme valable au titre du chapitre V ne dispense pas d’une base licite au titre de l’article 6, des principes de l’article 5 ou des autres obligations du responsable du traitement ou du sous-traitant. Un transfert constitue lui-même une opération de traitement au sens de l’article 4, point 2, et doit satisfaire au règlement dans son ensemble.
L’exigence que le niveau de protection des personnes physiques garanti par le règlement ne soit pas compromis fonctionne comme une mesure d’interprétation pour l’ensemble du chapitre, des décisions d’adéquation au titre de l’article 45 aux dérogations de l’article 49. Le considérant 101 confirme que la protection qui accompagne les données ne devrait pas être compromise par les transferts, ce qui conduit à lire les mécanismes spécifiques des articles 45 à 49 à la lumière de cette continuité de la protection.